Hinweis auf verfuegbaren Angriffscode: weaponized+10
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Missed incidents, persistent threats, and response gaps: Insights from compromise assessment projects
Kaspersky-Analysen zeigen, dass viele Cyberangriffe unentdeckt bleiben, oft über Monate oder sogar Jahre. Unternehmen übersehen 60 % der Vorfälle aufgrund fehlender Warnmeldungen und mangelnder operativer Reife. Betroffene sollten regelmäßige Sicherheitsaudits durchführen, Überwachungstools anpassen und ihre Incident-Response-Pläne kontinuierlich aktualisieren, um Bedrohungen frühzeitig zu erkennen und zu bekämpfen.
SecBoard-Einordnung
Das Übersehen von 60 % der Vorfälle und die lange Persistenz von Bedrohungen (oft über Monate oder Jahre) erhöhen das Risiko erheblich. Dies führt zu potenziell größeren Schäden, da Angreifer unentdeckt agieren können.
Realistisch schlimmster Fall: Langfristige, unentdeckte Präsenz von Angreifern in den Systemen, die zu wiederholten Datenexfiltrationen, Systemmanipulationen oder anhaltenden Betriebsunterbrechungen führen kann, bevor der Vorfall überhaupt erkannt wird.
Empfehlung: Führen Sie regelmäßige Kompromittierungsbewertungen durch, aktualisieren Sie kontinuierlich Überwachungstools und Incident-Response-Playbooks und verbessern Sie die menschliche Analyse von Warnmeldungen mit geringer Konfidenz. Beheben Sie Kommunikationslücken und verbessern Sie die operative Reife.
Im erfassten Bestand
- ▸8. erfasste Meldung zu Cobalt Strike innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Betroffen
Organisationen im Finanzsektor sind betroffen. Generell sind alle Organisationen betroffen, die eine mangelnde operative Reife bei der Erkennung und Reaktion auf Bedrohungen aufweisen.
Prüfen
3- ▸Überprüfen Sie die Konfiguration Ihrer Überwachungstools (z.B. SIEM, EDR), um sicherzustellen, dass sie Warnmeldungen mit hoher Konfidenz generieren und auch Warnmeldungen mit geringer Konfidenz zur Analyse weiterleiten.
- ▸Führen Sie eine interne Überprüfung Ihrer Incident-Response-Pläne durch, um sicherzustellen, dass sie aktuell sind, regelmäßig getestet werden und Kommunikationswege klar definiert sind.
▸ 1 weitere▾ weniger
- ▸Bewerten Sie die operative Reife Ihres Sicherheitsteams, insbesondere im Hinblick auf die Fähigkeit, Warnmeldungen zu analysieren und auf Vorfälle zu reagieren, und identifizieren Sie Schulungsbedarfe.
Offene Punkte
5▸ anzeigen▾ ausblenden
- ▸Spezifische Arten von Bedrohungen oder Angreifern, die unentdeckt bleiben.
- ▸Konkrete CVEs oder Exploits, die in den unentdeckten Vorfällen genutzt wurden.
- ▸Detaillierte technische Indikatoren für Kompromittierung (IOCs).
- ▸Spezifische Tools oder Technologien, die von den Angreifern verwendet wurden.
- ▸Die genaue Methodik der Kaspersky-Analyse, die zu den 60 % unentdeckten Vorfällen führte.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Ja
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Active Directory / Entra extern erreichbar?
- Haben wir Windows extern erreichbar?
- Können wir Execution detektieren?
- Können wir Persistence detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(7)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„„viele Cyberangriffe unentdeckt bleiben“ (impliziert, dass Angreifer Techniken zur Umgehung der Erkennung einsetzen)“
„„lang-undetected threats“ (impliziert, dass Angreifer unentdeckt Erkundungsaktivitäten durchführen können)“
„„oft über Monate oder sogar Jahre“ (impliziert, dass Angreifer persistente Zugänge etablieren)“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
1
Einnistung
1
Fernsteuerung
0
Zielhandlung
0
2 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)
Quellen & Belege· 1 Quelle
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap